Phishing bancario: el TJUE confirma que el banco debe devolver el dinero aunque el cliente haya sido negligente

Una sentencia histórica del Tribunal de Justicia de la Unión Europea cambia las reglas de las reclamaciones por fraude bancario: las entidades deberán reembolsar primero el dinero sustraído y, solo después, podrán reclamar al cliente si demuestran que actuó con negligencia grave.

El banco debe devolver inmediatamente el dinero sustraído mediante una operación no autorizada, incluso cuando considere que su cliente ha actuado con negligencia grave. Esta es la principal conclusión de la sentencia dictada ayer, 15 de octubre de 2026, por el Tribunal de Justicia de la Unión Europea (TJUE), en el asunto C-70/25 (Tukowiecka). Una resolución de enorme trascendencia para las víctimas de phishing y otras modalidades de fraude bancario que refuerza significativamente la protección de los usuarios frente a las entidades financieras.

Una sentencia que llevábamos meses esperando

En RPV Abogados ya habíamos analizado esta cuestión cuando, el pasado mes de marzo, el abogado general del TJUE, Athanasios Rantos, presentó unas conclusiones que anticipaban un cambio de especial importancia en la interpretación de la normativa europea sobre servicios de pago. Ahora, el Tribunal hace suyo aquel criterio y confirma que la posible negligencia grave del cliente no permite al banco rechazar la devolución inmediata de una operación que este no ha autorizado. La sentencia interpreta la Directiva (UE) 2015/2366, conocida como PSD2, y tiene consecuencias directas para las reclamaciones que se plantean ante los tribunales españoles.

¿Qué ocurrió en el caso analizado?

El procedimiento tiene su origen en Polonia, donde una mujer que había puesto a la venta un artículo en una plataforma de internet recibió un enlace fraudulento de un supuesto comprador. Al acceder, fue dirigida a una página que imitaba la de su banco e introdujo sus credenciales de acceso. Los delincuentes utilizaron esos datos para realizar una transferencia no autorizada de aproximadamente 700 euros. Aunque la víctima comunicó lo sucedido al día siguiente, su banco rechazó devolverle el dinero alegando que había actuado con negligencia grave al facilitar sus claves. Una situación que, desgraciadamente, resulta demasiado familiar para numerosas víctimas de phishing en España.

Primero devuelve el banco; después, si procede, reclama

Aquí reside la verdadera trascendencia de la sentencia. El TJUE establece que, cuando se produce una operación de pago no autorizada, la entidad debe reembolsar su importe inmediatamente y, como máximo, al finalizar el siguiente día hábil desde que tenga conocimiento de ella, siempre que se cumplan las obligaciones legales de comunicación. La única excepción específica a esta devolución inmediata se produce cuando existan motivos razonables para sospechar que el propio cliente ha cometido un fraude y la entidad comunique dichos motivos por escrito a la autoridad competente. Por tanto, el banco no puede limitarse a invocar una supuesta negligencia del usuario para retener el dinero mientras se discute quién es responsable.

¿Significa esto que la negligencia del cliente ya no importa?

No exactamente. La negligencia grave sigue siendo jurídicamente relevante, pero cambia radicalmente el momento en el que puede hacerse valer. Una vez realizado el reembolso, la entidad financiera podrá reclamar al cliente las pérdidas sufridas si consigue demostrar que incumplió deliberadamente o por negligencia grave sus obligaciones de seguridad. La carga de acreditar esa conducta corresponde al banco. Por tanto, haber introducido unas claves en una página fraudulenta o haber sido engañado mediante técnicas de suplantación no permite, por sí solo, que la entidad rechace automáticamente la devolución del dinero.

¿Cómo afecta esta sentencia a las víctimas de phishing en España?

La resolución supone un importante respaldo para quienes han sufrido transferencias fraudulentas, accesos indebidos a sus cuentas o estafas mediante suplantación de identidad. Hasta ahora, una de las respuestas más habituales de las entidades ante estas reclamaciones consistía en atribuir al cliente una negligencia grave, obligándole en numerosas ocasiones a acudir a los tribunales para recuperar sus ahorros. El TJUE rechaza precisamente que esa alegación pueda utilizarse para eludir la obligación inicial de reembolso. Además, su interpretación vincula a los tribunales españoles cuando deban resolver controversias equivalentes, lo que resulta especialmente relevante para los procedimientos judiciales pendientes.

Ante una operación bancaria no autorizada, puede ser conveniente contar con el asesoramiento de abogados especializados en Derecho Bancario en Madrid para revisar la documentación y valorar las posibles vías de reclamación.

Una protección que no elimina las obligaciones del usuario

Conviene recordar que las víctimas deben comunicar las operaciones no autorizadas a su entidad bancaria tan pronto como tengan conocimiento de ellas, cumplir los plazos legalmente establecidos y conservar toda la documentación relacionada con el fraude. También resulta fundamental distinguir entre una operación verdaderamente no autorizada y aquellas situaciones en las que el propio cliente ha ordenado una transferencia bajo engaño, pues su tratamiento jurídico puede ser diferente. La sentencia no supone una garantía universal de recuperación de cualquier cantidad perdida en una estafa, pero sí establece una protección muy importante frente a la negativa inicial de las entidades a reembolsar operaciones no autorizadas.

Un cambio de enorme importancia para los derechos de los usuarios bancarios

Desde nuestra experiencia en la defensa de víctimas de fraude bancario, consideramos que esta sentencia representa un avance decisivo. No porque elimine cualquier posible responsabilidad del cliente, sino porque impide que sea precisamente la víctima quien tenga que soportar inicialmente las consecuencias económicas del fraude mientras intenta demostrar que no actuó de forma gravemente negligente. El Tribunal de Justicia refuerza así el objetivo de protección que inspira la normativa europea y sitúa sobre las entidades financieras la responsabilidad de acreditar las circunstancias que puedan justificar una reclamación posterior. Ahora será especialmente importante comprobar cómo asumen los bancos esta doctrina y cómo la aplican nuestros tribunales. Porque la protección que reconoce el Derecho europeo debe traducirse también en una protección real y efectiva para los usuarios.